VPN Windows Mengambil Semua Trafik Anda? Buang Laluan Lalai

Anda bersambung ke VPN pejabat dan setiap halaman dalam pelayar mula melalui rangkaian itu: pelayan fail pantas, semua yang lain perlahan, ditapis atau hilang. Klien tidak salah laku; profil meminta terowong penuh. Suis yang menghentikannya ialah satu kotak semak dalam dialog yang aplikasi Tetapan moden tidak tunjukkan, dan gateway mendapat kata putus lagi pada setiap sambungan. Panduan ini mengikut susunan yang benar-benar dipersembahkan oleh antara muka Windows, kemudian merangkumi pemeriksaan yang masih gagal selepas jadual laluan kelihatan betul.

Mulakan dalam sifat penyesuai, bukan dalam Tetapan

Aplikasi Tetapan menyenaraikan profil di bawah Rangkaian & Internet, kemudian VPN, tetapi hanya mendedahkan pilihan umum. Keputusan gateway lalai terletak pada penyesuai. Buka senarai penyesuai klasik dengan Win+R dan ncpa.cpl, klik kanan sambungan VPN, pilih Sifat, pilih Protokol Internet versi 4, pilih Sifat sekali lagi, kemudian Lanjutan. Nyahpilih Gunakan gateway lalai pada rangkaian jauh dan sahkan jalan keluar daripada ketiga-tiga dialog.

Sambung semula sebelum menguji, kerana kotak semak itu digunakan apabila terowong diwujudkan dan sesi sedia ada mengekalkan jadual yang dibinanya. Jika penyesuai tiada semasa klien terputus, sambung sekali dan buka semula tetingkap. Klien vendor yang memasang penyesuai TAP atau Wintun tanpa halaman sifat IPv4 tidak mempunyai dialog ini sama sekali; bagi mereka keputusan yang sama ialah pilihan terowong berpisah dalam tetapan klien itu sendiri, dan kotak semak penyesuai ialah tempat yang salah untuk dicari.

Perubahan yang sama daripada PowerShell

Untuk profil yang dicipta dalam stor VPN Windows, tetapan itu boleh diskrip, iaitu apa yang anda mahu jika mesin sering dibina semula:

Set-VpnConnection -Name "Office" -SplitTunneling $true
Get-VpnConnection -Name "Office" | Select-Object Name,SplitTunneling

Cmdlet itu hanya mencapai profil dalam stor itu. Sambungan yang ditambah oleh klien pihak ketiga tidak akan muncul, dan arahan itu gagal dengan ralat nama yang bunyinya seperti salah taip. Perhatikan juga apa yang tidak dilakukan oleh suis itu: ia menghalang klien daripada memasang laluan lalai, tetapi ia tidak membuang laluan yang ditolak oleh gateway semasa bersambung, jadi bahagian seterusnya masih diperlukan pada banyak rangkaian.

Apabila gateway menolak laluan lalai semula

Baca jadual dahulu. Dua entri lalai dengan metrik berbeza bermakna perubahan profil berkesan dan laluan yang ditolak tetap menggantikannya:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-NetAdapter | Select-Object Name,ifIndex

Buang laluan lalai milik terowong dan kekalkan yang fizikal. Gunakan indeks antara muka daripada arahan ketiga, bukan alias penyesuai, kerana skrip yang menghantar alias rosak sebaik sahaja nama paparan berubah:

Remove-NetRoute -DestinationPrefix 0.0.0.0/0 -InterfaceIndex 21 -Confirm:$false
route delete 0.0.0.0 10.8.0.1

Pembuangan itu membawa pejabat bersama, jadi tambah semula awalan korporat melalui gateway terowong. Inilah baris yang orang langkau, dan inilah sebabnya «VPN berhenti berfungsi» menyusul perubahan terowong berpisah yang berjaya:

route add 10.0.0.0 mask 255.0.0.0 10.8.0.1 metric 5 if 21

Tiada satu pun daripada ini bertahan selepas sambung semula, yang merupakan tingkah laku jujur dan bukan pepijat: penyesuai dibina semula dan klien menggunakan semula apa yang dipersetujui oleh profil dan gateway. Jika laluan lalai muncul semula setiap kali, gateway dikonfigurasikan untuk menolak terowong berpisah dan akan terus menolaknya, atau memutuskan sesi. Itu dasar pengendali rangkaian, dan permintaan itu milik sana, bukan skrip tempatan yang melawannya sekali setiap sambungan.

Semak semula DNS, IPv6 dan metrik selepas satu sambung semula

Membuang laluan lalai IPv4 tidak membuktikan apa-apa tentang keluarga yang lain atau tentang penyelesaian nama. Terowong boleh membawa IPv6 sementara laluan lalai IPv4 kekal setempat, dan senarai penyelesai yang ditolak boleh mengekalkan nama dalaman berfungsi sementara pertanyaan yang menggunakannya melalui laluan lain. Semak ketiga-tiganya sebelum menyebutnya selesai:

Get-NetRoute -DestinationPrefix ::/0
Get-DnsClientServerAddress -InterfaceAlias "Office"
Get-DnsClientNrptPolicy

Jika keadaan kembali pada setiap sambungan, alihkan arahan ke tindakan bagi setiap sambungan dan bukannya menyunting jadual secara manual: tugas berjadual yang dicetuskan oleh peristiwa sambungan, atau tetapan terowong berpisah klien sendiri jika ada. Simpan indeks antara muka dalam pemboleh ubah dan cari semasa berjalan, kerana ia boleh berubah apabila penyesuai ditambah atau dibuang.

Tentukan apa yang anda lepaskan

Trafik internet setempat tidak lagi diperiksa atau ditapis oleh pejabat, dan apa-apa yang diterbitkan hanya melalui terowong kini memerlukan laluannya sendiri. Sesetengah organisasi menganggap terowong berpisah sebagai pelanggaran dasar, jadi sahkan perkara itu sebelum menukar peranti terurus; laluan lalai yang ditolak kadangkala ialah mekanisme penguatkuasaan dan bukan kemalangan. Dokumentasi Set-VpnConnection menyenaraikan parameter terowong berpisah dan jenis profil yang terpakai.

Kemudian sahkan mengikut susunan tetap: siapa memiliki laluan lalai, pelayaran biasa, satu hos korporat mengikut alamat, satu nama dalaman, dan empat yang sama selepas satu sambung semula. Jika pelayaran berfungsi dan hos korporat gagal, laluan awalan yang hilang dan bukan laluan lalai yang anda buang, dan itu jauh lebih murah untuk dibaiki daripada membina semula profil.